Какие протоколы этот публичный узел VPN на самом деле предлагает?
То, что серверное программное обеспечение поддерживает протокол, не означает, что этот узел включил его. Проверьте конечную точку, профиль и этап, который действительно не проходит.
Программное обеспечение поддерживает его, значит, узел его предлагает. Этот вывод ошибочен достаточно часто, чтобы стать правилом: развёртывание SoftEther может включить любое подмножество совместимых методов подключения, а публичный узел — это развёртывание с владельцем и конфигурацией. С чем вы можете подключиться, зависит от этого узла, а не от списка функций проекта, который он запускает. Именно в зазоре между ними и живёт большинство заявок «протокол сломан».
Что на самом деле обещает список проекта
Функции протоколов проекта описывают, на что способен сервер. Конкретный узел включает одни из этих слушателей и не включает другие, и оператор может изменить этот набор, не трогая версию программного обеспечения. Поэтому два узла одной сборки ведут себя по-разному, а профиль, который работает против одного, ничего не доказывает о следующей цели. Собственный список узла важнее страницы проекта, когда вы выбираете, куда подключаться.
Читайте список как пять полей, а не как меню: конечная точка, порт, транспорт, семейство протоколов и метод аутентификации. Публичный узел, который рекламирует SSTP сообщил вам о слушателе на порту; он не сообщил, какой сертификат предъявляет и работает ли там ваша учётная запись. Сравнить эти пять полей со своим профилем быстрее, чем любое количество переустановок клиента, и это даёт письменное ожидание, которое можно проверить позже.
Согласуйте профиль с конечной точкой, которую он называет
Собственная запись SoftEther не является автоматически конфигурацией OpenVPN, даже когда обе появляются на одной странице провайдера под одним заголовком. Когда узел публикует и TCP-, и UDP-слушатель для OpenVPN, рассматривайте их как две конечные точки: профиль, изменённый с одного на другой, указывает на слушателя, которого никто не включал. Метка транспорта в файле — часть адреса, а не косметическая настройка.
То, что клиент принимает импортированный файл, доказывает, что файл разбирается. Это ничего не говорит о том, ждёт ли на другом конце удалённый слушатель, поэтому первая попытка подключения и есть настоящая проверка. Сравните строку remote в профиле с объявленными хостом и портом узла, прежде чем винить протокол.
Проверьте этап, который не проходит
Хост, отвечающий на веб-трафик, всё ещё может не иметь нужной службы VPN, а хост, отвергающий один протокол, не обязательно выключен для всех. Эти две ошибки отправляют людей в противоположные стороны в один и тот же день. Один гоняется за межсетевым экраном, который в порядке; другой переустанавливает клиент, который никогда не был проблемой. Проверяйте каждый путь отдельно, чтобы ответ описывал одного слушателя, а не весь хост.
Эти пять проверок охватывают обычные методы публичных узлов. Выполняйте их из той же сети, которую использует клиент, потому что отфильтрованный порт издалека выглядит точно так же, как отсутствующий слушатель.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Результат | Этап | Что это исключает |
|---|---|---|
| Соединение отклонено или истекло время | Транспорт | Слушатель отсутствует, отфильтрован или неверный порт |
| Ошибка рукопожатия TLS или идентичности | Сертификат | Доступность протокола; слушатель ответил |
| AUTH_FAILED или отказ учётной записи | Аутентификация | Конечная точка; проблема в учётных данных |
| UDP 500 и 4500 молчат | Согласование IPsec | ESP и L2TP блокируются до аутентификации |
Свяжите каждую наблюдаемую ошибку с её строкой, прежде чем что-либо менять. Ошибка идентичности TLS доказывает, что слушатель существует, поэтому переписывание профиля на другой протокол отбросило бы работающее доказательство. Отклонённое соединение доказывает лишь то, что этот порт не ответил, а это гораздо более узкое утверждение, чем «узел не поддерживает OpenVPN».
Сохраните ошибку, прежде чем что-либо менять
Запишите точный результат: истечение времени, ошибка идентичности сертификата, отказ учётной записи и отказ на уровне приложения — четыре разных исхода. Только первый касается недоступного протокола, и только последний касается разрешения после успешного соединения. Сброс клиента или смена протоколов уничтожает это различие, потому что следующая ошибка приходит с другой историей и без базовой линии для сравнения.
Не ослабляйте проверку, чтобы несовместимый профиль казался работающим. Отключённая проверка сертификата превращает явную ошибку идентичности в соединение с тем, куда вы не собирались попасть, и полученный успех хуже исходной ошибки, потому что скрывает, какой этап был неверным.
Перепроверяйте для каждого узла, каждый раз
Собственные варианты SSL, OpenVPN, L2TP/IPsec и SSTP в списке публичного узла описывают конфигурацию этого узла в тот момент. То же программное обеспечение в другом месте может предлагать другой набор, а провайдер может убрать слушателя между вашей закладкой и следующей попыткой. Старые заметки описывают старые развёртывания.
Запишите проверенный профиль с его конечной точкой и методом, затем повторите проверку, когда узел изменится или соединение начнёт сбоить. Спецификация протокола SoftEther — это справочник о том, на что способно программное обеспечение; собственный список узла — справочник о том, что он делает. Держите два документа раздельно, и диагностика станет короче.